Федеральные органы исполнительной власти полагаются на криптографию для защиты конфиденциальных данных и систем. Некоторые эксперты, однако, прогнозируют, что в ближайшие 10-20 лет может быть создан квантовый компьютер, способный взламывать определенные виды криптографической защиты.
Перед Счётной палатой США (Government Accountability Office, GAO) была поставлена задача проанализировать угрозу, которую квантовые вычисления представляют для используемых федеральными органами средств криптографической защиты. В данном отчете описываются:
- угрозы, создаваемые квантовыми компьютерами для криптографической защиты информационных систем федеральных органов, и
- та степень, в которой федеральные органы начали прилагать усилия для подготовки к этой угрозе в соответствии с федеральными руководящими указаниями.
Счётная палата также проанализировала перечни используемых криптографических средств, оценки потребностей в финансировании и другую плановую документацию каждого из 24 федеральных органов, подпадающих под действие Закона о финансовых директорах (Chief Financial Officer Act), чтобы установить, насколько полно эти органы реализовали меры по подготовке к переходу, предусмотренные федеральными руководящими указаниями.
Настоящий документ представляет собой открытую версию конфиденциального отчета, выпущенного Счётной палатой в сентябре 2025 года. Подготовка данной версии велась совместно с Управлением национального директора по кибербезопасности (Office of the National Cyber Director) в период с сентября 2025 года по сентябрь 2026 года.
Что Счётная палата обнаружила
Квантовые компьютеры используют кубиты (квантовый аналог битов в классических компьютерах) для того, чтобы решать определенные задачи значительно быстрее, чем это делают классические компьютеры. В то же время появление квантовых компьютеров потенциально может подорвать надежность криптографических методов (например, шифрования), используемых федеральными органами исполнительной власти для защиты своих систем. В настоящий момент квантовые компьютеры пока ещё не способны взломать эту криптографию, однако в будущем квантовый компьютер достаточной мощности и сложности - так называемый «криптографически-значимый квантовый компьютер» (cryptographically relevant quantum computer, CRQC) - потенциально сможет взломать определенные виды криптографической защиты.
Большинство отраслевых экспертов полагают, что CRQC-компьютер будет создан, возможно, уже в 2030-х годах. При этом прогнозы сроков его разработки существенно различаются из-за ряда факторов, таких как неопределенность в отношении темпов увеличения числа кубитов и того, какое их количество реально потребуется. Появление CRQC-компьютера может повлечь катастрофические последствия для федеральных систем, использующих уязвимые методы криптографической защиты. Например, злоумышленник может использовать CRQC-компьютер для компрометации систем, обеспечивающих аутентификацию пользователей, что позволит ему:
- получить доступ к чувствительной (конфиденциальной) информации; и
- расшифровать (либо разблокировать и просмотреть) данные, которые были получены и сохранены злоумышленником до момента создания такого компьютера.
Для противодействия угрозе, связанной с появлением «криптографически-значимых квантовых компьютеров» (CRQC-компьютеров), необходимо, чтобы федеральные органы исполнительной власти перевели свои существующие системы на более защищённые методы шифрования (так называемую «постквантовую криптографию»). Руководствуясь рекомендациями Административно-бюджетного управления президентской администрации (Office of Management and Budget, OMB), Счетная палата разработала систему оценки трёх практик, которые федеральным органам следует реализовать для подготовки к этому переходу. Однако ни одно из 24 выбранных ведомств не выполнило эти требования в полном объеме (см. рисунок).
Степень реализации 24 федеральными органами, подпадающими под действие Закона о финансовых директорах (Chief Financial Officer Act) подготовительных мер для перехода к использованию квантовых вычислений
Неполная реализация данных практик отчасти обусловлено:
- недостатком опыта и знаний в области криптографии;
- отсутствием процессов для составления перечней используемых криптографических средств и выявления потребностей в финансировании, необходимом для перехода на постквантовую криптографию; а также
- отсутствием планов, направляющих тестирование постквантовой криптографии.
Пока проверенные федеральные органы не устранят эти недостатки, они не будут готовы должным образом противостоять угрозе, которую CRQC-компьютеры представляют для криптографических систем, используемых этими органами для защиты конфиденциальной информации.
Рекомендации
В конфиденциальной версии отчёта Счетная палата дала 89 рекомендаций 23 ведомствам. В частности, им было предложено разработать и внедрить процессы для составления перечней уязвимых криптографических средств и для определения финансирования, необходимого для перехода на постквантовую криптографию.
Двенадцать федеральных органов согласились с рекомендациями Счётной палаты, два согласились частично, семь не выразили ни согласия, ни несогласия, а одно ведомство не согласилось с тремя из четырех адресованных ему рекомендаций. Счётная палата, со своей стороны, по-прежнему считает все рекомендации обоснованными.
В данной открытой версии отчета никаких дополнительных рекомендаций не приводится.
Источник: Сайт счётной палаты США
https://www.gao.gov/products/gao-27-108740
Комментариев нет:
Отправить комментарий